http://php.net/manual/tr/reserved.variables.server.php sayfasında da belirtildiği üzere
Alıntı
'HTTP_REFERER'
Kullanıcı tarayıcısını geçerli sayfaya gönderen sayfanın (varsa) adresidir. Bu kullanıcı tarayıcısı tarafından belirtilir. Her kullanıcı tarayıcısı bunu belirtmez ve bazıları HTTP_REFERER değiştirmeyi bir özellik olarak sunar. Kısaca, buna güvenilemez.
kullanıcı tarayıcısına da bağlı olabilir. CloudFlare ile bir alakası var mıdır bilemem.
https://gist.github.com/exec/1a049b60990001349cf7 sayfasında bir şeyler hazırlamışlar CloudFlare ile alakalı bir kısım mevcut, çözüm olacağını düşünmüyorum ama inceleyebilirsiniz isterseniz.